Um grupo de hackers patrocinado pelo estado russo conhecido como Sandworm foi pego fazendo uma mudança calculada de redes de TI comprometidas para sistemas de tecnologia operacional que controlam infraestrutura física. A campanha é alarmante porque não depende de exploits de ponta. Em vez disso, o Sandworm caminha por portas que já foram deixadas abertas, transformando vulnerabilidades não resolvidas em plataformas de lançamento para ataques a sistemas de controle industrial.
Descoberta e escopo da campanha
O Sandworm, também rastreado como APT44, Seashell Blizzard e Voodoo Bear, é atribuído à Unidade 74455 do GRU, a unidade de sabotagem cibernética de inteligência militar da Rússia. O grupo tem um histórico longo e destrutivo, sendo responsável pelos ataques à rede elétrica ucraniana e pela propagação do malware NotPetya em 2017. Ao contrário de gangues de ransomware motivadas financeiramente, o Sandworm opera com uma missão: causar interrupção e, quando necessário, dano físico.
Pesquisadores da Nozomi Networks analisaram telemetria anonimizada de 10 clientes industriais em sete países, cobrindo atividade de julho de 2025 a janeiro de 2026. A análise confirmou 29 eventos separados do Sandworm, revelando um ator de ameaça que se move de forma metódica, escala agressivamente e não recua quando descoberto.
O que mudou agora
O que torna esta campanha particularmente preocupante é o quanto dela era evitável. Cada sistema infectado havia gerado semanas ou meses de alertas de segurança de alta confiança muito antes da chegada do Sandworm. Em média, os sistemas comprometidos estavam enviando sinais de alerta há 43 dias. Estas não foram intrusões silenciosas. Foram ataques barulhentos e bem documentados que foram ignorados.
As cadeias de exploração em jogo incluíram EternalBlue, DoublePulsar e WannaCry, todas ferramentas que são publicamente conhecidas e corrigíveis há anos. O Sandworm não precisou de truques novos. Ele se moveu para ambientes que outros atacantes já haviam tomado e usou essas posições para avançar mais profundamente no território industrial.
Vetor e exploração
Uma vez que o Sandworm estabeleceu uma presença dentro de uma rede, ele não permaneceu quieto. Dezenove máquinas infectadas lançaram ataques de movimento lateral contra 923 alvos internos únicos. No caso mais extremo, um único host comprometido atacou 405 sistemas internos por conta própria, e um evento de infecção causou um aumento de 12 vezes no volume de alertas. Os alvos não eram aleatórios.
O Sandworm mostrou intenção clara de alcançar sistemas de controle industrial, atingindo diretamente estações de trabalho de engenharia, interfaces homem-máquina e controladores de campo, incluindo unidades terminais remotas, controladores lógicos programáveis e dispositivos eletrônicos inteligentes. Em um local de vítima, 286 estações de trabalho de engenharia foram alvo, enquanto outro viu 95 HMIs no mira. Estes não são apenas computadores, pois gerenciam equipamentos físicos em fábricas, usinas de energia e redes de transporte.
Impacto e alcance
A pesquisa da Nozomi Networks também notou que a atividade do Sandworm segue um cronograma previsível, com pico nas quartas-feiras por volta das 14h no horário de Moscou. Este ritmo burocrático aponta para uma operação centralmente organizada. Alinha-se com a forma como as unidades governamentais e militares russas estruturam sua semana de trabalho.
Um dos achados mais alarmantes é o que acontece quando o Sandworm é pego. Em vez de recuar, o grupo escala. Em todos os ambientes afetados, a atividade se intensificou após a detecção, com aumento no volume de alertas, aparecimento de novos tipos de ataque, mais sistemas sendo alvo e foco mudando mais fortemente para sistemas de controle industrial.
Medidas de mitigação recomendadas
As equipes de segurança devem se mover da detecção para o isolamento rapidamente, especialmente para qualquer sistema com acesso à tecnologia operacional. Os planos de resposta a incidentes devem assumir que o Sandworm empurrará mais forte uma vez detectado, não recuar. A Nozomi Networks recomenda tratar mesmo alertas rotineiros, como detecções de EternalBlue ou Cobalt Strike, como avisos estratégicos sérios em vez de ruído de fundo.
Os defensores devem focar na higiene básica, remover protocolos legados, aplicar segmentação de rede entre ambientes de TI e OT e garantir que compromissos passados sejam totalmente resolvidos em vez de apenas contidos. Estações de trabalho de engenharia e sistemas de gerenciamento de ICS devem ser tratados como ativos críticos, mantidos offline do acesso geral à internet e monitorados de perto.
O que os CISOs devem fazer imediatamente
1. Revisar imediatamente os logs de segurança para detectar alertas antigos de EternalBlue ou DoublePulsar que não foram investigados.
2. Implementar segmentação de rede rigorosa entre ambientes de TI e OT para impedir movimento lateral.
3. Atualizar todos os sistemas legados que ainda utilizam protocolos vulneráveis como SMBv1.
4. Monitorar tráfego de rede para conexões incomuns a partir de estações de trabalho de engenharia.
5. Revisar planos de resposta a incidentes para incluir cenários de escalada de ataque após detecção parcial.